{"id":81977,"date":"2026-10-23T10:57:48","date_gmt":"2026-10-23T18:57:48","guid":{"rendered":"http:\/\/www.sumologic.com\/blog\/untersuchung-von-php2shell-bezogenen-aktivitaeten-mit-sumo-logic"},"modified":"2026-10-29T16:02:36","modified_gmt":"2026-10-30T00:02:36","slug":"investigate-php2shell-activity","status":"publish","type":"blog","link":"https:\/\/www.sumologic.com\/de\/blog\/investigate-php2shell-activity","title":{"rendered":"Untersuchung von PHP2Shell-bezogenen Aktivit\u00e4ten mit Sumo Logic"},"content":{"rendered":"\n<section class=\"e-stn e-stn-0d652506f82b000a392973813b918ee25d5b4211 e-stn--glossary-inner-content e-stn--table-of-content\"><div class=\"container\">\n<div class=\"wp-block-b3rg-row e-row row\">\n<div class=\"wp-block-b3rg-column e-col e-col-1f7b3997080fc292474d26ff00c905d99d3520fa e-col--content-wrapper  col-sm-12 col-lg-12 col-xl-12\">\n<div class=\"e-div e-div-a1b32f66e1749758df41d5aea14f647cd10e362c e-div--card-btn-link\">\n<div class=\"wp-block-b3rg-column e-col e-col-ac00a9d18d9973e605ded8ae7af253f1808cf699  col-xs-10 col-sm-9 col-md-6\">\n<figure class=\"wp-block-image size-full w-50 mb-4\"><img loading=\"lazy\" decoding=\"async\" width=\"765\" height=\"291\" src=\"https:\/\/www.sumologic.com\/wp-content\/uploads\/log_threat_labs.png\" alt=\"\" class=\"wp-image-5388\" title=\"\"><\/figure>\n<\/div>\n\n\n<div class=\"e-img \">\n<figure class=\"wp-block-image size-full is-resized\"><img loading=\"lazy\" decoding=\"async\" width=\"900\" height=\"200\" src=\"http:\/\/www.sumologic.com\/wp-content\/uploads\/php2shell-header-1.png\" alt=\"\" class=\"wp-image-81433\" style=\"width:900px;height:auto\" title=\"\" srcset=\"https:\/\/www.sumologic.com\/wp-content\/uploads\/php2shell-header-1.png 900w, https:\/\/www.sumologic.com\/wp-content\/uploads\/php2shell-header-1-300x67.png 300w, https:\/\/www.sumologic.com\/wp-content\/uploads\/php2shell-header-1-765x170.png 765w, https:\/\/www.sumologic.com\/wp-content\/uploads\/php2shell-header-1-572x127.png 572w\" sizes=\"auto, (max-width: 900px) 100vw, 900px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP<\/strong> (ein rekursives Akronym f\u00fcr PHP: Hypertext Preprocessor) ist eine kostenlose, quelloffene serverseitige Skriptsprache, die haupts\u00e4chlich f\u00fcr die Webentwicklung verwendet wird. Nach Angaben des Web-Technologie-Trackers W3Techs <a href=\"https:\/\/www.reuters.com\/technology\/what-is-php-why-did-it-take-government-websites-offline-2026-10-21\/\" target=\"_blank\" rel=\"noopener\">wird PHP auf \u201efast 70 % aller Websites ausgef\u00fchrt, deren Programmiersprache identifiziert werden kann<\/a>.\u201c<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP2Shell<\/strong> ist ein Paar kritischer Fehler im PHP-Interpreter selbst, jeweils mit einem CVSS v4.0-Score von 9,2. Beide erm\u00f6glichen es einem nicht authentifizierten Angreifer, Code auf einem Webserver mit einer einzigen handwerklich erstellten Webanfrage oder einem Paar davon auszuf\u00fchren, bevor ein Anwendungscode ausgef\u00fchrt wird.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CVE-2026-109618 missbraucht die Fehlerbehandlung von PHP bei Speichermangel;<\/li>\n\n\n\n<li>CVE-2026-109619 missbraucht den Status, der von einer fr\u00fcheren fehlgeschlagenen Anfrage auf demselben Worker \u00fcbrig bleibt.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Da der Fehler in PHP und nicht in WordPress, Drupal oder Magento vorhanden ist, ist jeder erreichbare PHP-Endpunkt auf einem betroffenen Server exponiert, einschlie\u00dflich Anmeldeseiten, statischer Formulare und Integrit\u00e4tspr\u00fcfungen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Jede PHP-Version aus dem letzten Jahrzehnt ist betroffen (zur\u00fcck bis 5.4). Behobene Versionen sind 8.5.12, 8.4.27, 8.3.36, 8.2.35. PHP 8.1 und \u00e4lter erhalten nur minimale Quellcode-Backports.<\/p>\n\n\n\n<h2 id=\"php2shell-disclosure-timeline\" class=\"wp-block-heading\">PHP2Shell-Offenlegungszeitplan<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei kritische PHP-Sicherheitsl\u00fccken, CVE-2026-109618 und CVE-2026-109619, gingen innerhalb weniger Tage von privater Forschung zu aktiver Ausnutzung \u00fcber. Nachfolgend finden Sie den Zeitplan der Ereignisse:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>August 2026:<\/strong> Calif findet die ersten Remote-Code-Execution-Pfade (RCE) w\u00e4hrend eines KI-gest\u00fctzten Audits und meldet sie PHP. Wiz findet die Fehler unabh\u00e4ngig davon und meldet sie PHP.<\/li>\n\n\n\n<li><strong>Anfang Oktober 2026:<\/strong> Cloudflare beginnt mit der Entwicklung von Web Application Firewall (WAF)-Schutzma\u00dfnahmen.<\/li>\n\n\n\n<li><strong>17. Oktober 2026:<\/strong> AWS meldet erste bekannte Exploit-Versuche gegen Amazon MadPot, vier Tage vor der geplanten koordinierten Offenlegung.<\/li>\n\n\n\n<li><strong>20. Oktober 2026:<\/strong> Details der zwei kritischen Remote-Code-Sicherheitsl\u00fccken in PHP, CVE-2026-109618 und CVE-2026-109619, wurden vor der von der PHP Foundation geplanten koordinierten Offenlegung am 22. Oktober 2026 durchgesickert.<\/li>\n\n\n\n<li><strong>21. Oktober 2026:<\/strong> Die PHP Foundation gibt die Sicherheitsl\u00fccken vorzeitig bekannt und empfiehlt allen, ein Update durchzuf\u00fchren. Notfall-Updates f\u00fcr die betroffenen Softwareversionen werden sp\u00e4ter an diesem Tag ver\u00f6ffentlicht.<\/li>\n\n\n\n<li><strong>21. Oktober 2026 und danach:<\/strong> Forscher berichten von umfangreichen Exploit-Versuchen.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"how-to-search-for-php2shell-activity-in-your-environment\" class=\"wp-block-heading\">Wie suche ich nach PHP2Shell-Aktivit\u00e4ten in meiner Umgebung?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Lassen Sie uns mit Sumo Logic nach PHP2Shell-Aktivit\u00e4ten suchen. F\u00fcr jeden Aktivit\u00e4tstyp finden Sie zwei Suchanfragen: eine gegen Rohprotokolle verschiedener Typen und eine gegen <a href=\"https:\/\/www.sumologic.com\/help\/docs\/cse\/schema\/record-processing-pipeline\/\">normalisierte Datens\u00e4tze<\/a> f\u00fcr Kunden, die <a href=\"http:\/\/www.sumologic.com\/de\/solutions\/siem\">Sumo Logic Cloud SIEM<\/a> haben.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei Hinweise, bevor Sie beginnen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Rohprotokoll-Suchanfragen m\u00fcssen angepasst werden.<\/strong> Die Beispiele f\u00fcr Rohprotokoll-Suchanfragen enthalten Parsing-Operationen, die f\u00fcr einen Protokollquellentyp spezifisch sind, z. B. Apache-Zugriffsprotokolle. Sie beschr\u00e4nken sich auch auf eine Protokollkategorisierung (z. B. <code>_sourceCategory=linux\/system webserver<\/code>), die Sie beim Onboarding der Protokollquelle zuweisen. Wenn Sie die hier enthaltenen Beispiele f\u00fcr Rohprotokoll-Suchanfragen verwenden m\u00f6chten, m\u00fcssen Sie diese wahrscheinlich f\u00fcr Ihre Umgebung anpassen.<\/li>\n\n\n\n<li><strong>Datensatz-Suchanfragen funktionieren wie geschrieben.<\/strong> Sie basieren auf dem normalisierten Schema von Sumo Logic Cloud SIEM, daher sind sie ohne \u00c4nderungen verwendbar.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Suchanfragen suchen nach Verhalten auf dem Webserver nach dem anf\u00e4nglichen Exploit. Sie suchen nicht nach HTTP-Transaktionen, die Exploit-Payloads enthalten k\u00f6nnten. In vielen F\u00e4llen haben Sie Sicherheitsprodukte wie Web Application Firewalls \u201evor\u201c Ihren Internet-exponierten Webservern, und diese Produkte haben ihre eigenen Erkennungen rund um Webserver-Exploits mit HTTP-Analyse. Die Telemetrie von diesen Produkten sollte in Sumo Logic f\u00fcr Korrelation, Alarmierung und weitere Analyse aufgenommen werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Fokus der Detection Engineering in diesem Blog liegt auf Verhaltensbeobachtungen auf dem Webserver im Zusammenhang mit dem anf\u00e4nglichen Exploit und der Folgema\u00dfnahmen nach einem erfolgreichen Angriff. Diese Beobachtungen k\u00f6nnen dann mit der Telemetrie von Ihren anderen Sicherheitsprodukten korreliert werden.<\/p>\n\n\n\n<h3 id=\"look-for-spikes-in-web-server-errors\" class=\"wp-block-heading\">Suchen Sie nach Spitzen bei Webserver-Fehlern<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die PHP2Shell-Sicherheitsl\u00fccken stammen aus Fehlern in der PHP-Fehlerbehandlung, daher werden Exploit-Versuche als Fehler auf Ihren Webservern angezeigt. Mit dem <a href=\"https:\/\/www.sumologic.com\/help\/docs\/search\/search-query-language\/search-operators\/timeslice\/\">timeslice-Suchoperator<\/a> von Sumo Logic k\u00f6nnen Sie leicht beurteilen, ob es Spitzen bei der Fehleraktivit\u00e4t auf Ihren Webservern gegeben hat.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Im folgenden Beispiel z\u00e4hlen wir die Anzahl der serverseitigen Fehler (die einen HTTP-Antwortcode im Bereich 500\u2013599 generieren) pro Stunde. Wir k\u00f6nnen die Ergebnisse visuell auf Spitzen \u00fcberpr\u00fcfen.<\/p>\n\n\n\n<h5 id=\"example-1-syslog-wrapped-apache-access-logs\" class=\"wp-block-heading\"><strong>Beispiel 1: (Syslog-umschlossene) Apache-Zugriffsprotokolle<\/strong><\/h5>\n\n\n\n<pre class=\"wp-block-code\"><code>(_sourceCategory=linux\/system webserver_system=apache webserver_farm=* OR _sourceCategory=linux\/syslog) httpd-access HTTP (50* OR 51* OR 52* OR 53* OR 54* OR 55* OR 59*)\n| parse \"httpd-access: *\" as mesg nodrop\n| parse regex field=mesg \"^(?&lt;src_ip&gt;\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3})\\s+(?&lt;vhost&gt;\\S+)\" nodrop\n| parse regex field=mesg \"\\\"(?&lt;method&gt;&#091;A-Z]+)\\s(?&lt;uri&gt;\\S+)\\sHTTP\\\/&#091;\\d\\.]+\\\"\\s(?&lt;status_code&gt;\\d+)\\s(?&lt;size&gt;&#091;\\d-]+)\" nodrop\n| where !isNull(status_code) and status_code &gt;= 500 and status_code &lt;= 599\n| timeslice 1h\n| count by _timeslice, _sourceHost\n| sort by _timeslice, _count desc<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<h5 id=\"example-2-sumo-logic-cloud-siem-records\" class=\"wp-block-heading\">Beispiel 2: Sumo Logic Cloud SIEM-Datens\u00e4tze<\/h5>\n\n\n\n<p class=\"wp-block-paragraph\">Beachten Sie, dass die folgende Abfrage davon abh\u00e4ngt, dass entweder die <a href=\"https:\/\/www.sumologic.com\/help\/docs\/cse\/match-lists-suppressed-lists\/standard-match-lists\/#standard-match-lists\">Standard-Match-Listen<\/a> web_servers oder http_servers in Ihrer Bereitstellung erstellt und gef\u00fcllt werden.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>_index=sec_record*\n| where http_response_statusCode &gt;= 500 and http_response_statusCode &lt;= 599 \n| where jsonArrayContains(listMatches, \"web_servers\") or jsonArrayContains(listMatches, \"http_servers\")\n| timeslice 1h\n| count by _timeslice, dstDevice_ip\n| sort by _timeslice, _count desc<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n<div class=\"e-img \">\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"855\" height=\"683\" src=\"http:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img1-Searching-Environment.png\" alt=\"\" class=\"wp-image-81403\" title=\"\" srcset=\"https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img1-Searching-Environment.png 855w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img1-Searching-Environment-767x613.png 767w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img1-Searching-Environment-300x240.png 300w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img1-Searching-Environment-575x459.png 575w\" sizes=\"auto, (max-width: 855px) 100vw, 855px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><em>Abbildung 1: Anstieg der Fehleraktivit\u00e4t des Webservers<\/em><\/p>\n\n\n\n<div style=\"height:20px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h3 id=\"identify-web-server-processes-spawning-a-shell\" class=\"wp-block-heading\">Identifizieren Sie Webserver-Prozesse, die eine Shell starten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn ein Angreifer PHP2Shell erfolgreich ausnutzt, kann er b\u00f6sartigen Code \u00fcber einen untergeordneten Prozess des Webservers oder des PHP-Prozesses ausf\u00fchren. Die folgende Abfrage identifiziert h\u00e4ufige Webserver-Prozesse, die in Windows- und Linux-Umgebungen eine vollst\u00e4ndige Betriebssystem-Shell starten.<\/p>\n\n\n\n<h5 id=\"example-1-windows-process-logs\" class=\"wp-block-heading\">Beispiel 1: Windows-Prozessprotokolle<\/h5>\n\n\n\n<pre class=\"wp-block-code\"><code>_sourceCategory =\"windows\/eventlogs\"\n| parse \"&lt;EventID&gt;*&lt;\/EventID&gt;\" as eventId\n| where eventId = \"4688\"\n| parse \"&lt;Data Name='ParentProcessName'&gt;*&lt;\/Data&gt;\" as parentBaseImage nodrop\n| parse \"&lt;Data Name='NewProcessName'&gt;*&lt;\/Data&gt;\" as baseImage nodrop\n| parse \"&lt;Data Name='CommandLine'&gt;*&lt;\/Data&gt;\" as commandLine nodrop\n| parse \"&lt;Data Name='SubjectUserName'&gt;*&lt;\/Data&gt;\" as user_username nodrop\n| parse \"&lt;Data Name='SubjectDomainName'&gt;*&lt;\/Data&gt;\" as user_domain nodrop\n| parse regex \"&lt;Computer&gt;(?&lt;device_hostname&gt;&#091;^&lt;]+)&lt;\/Computer&gt;\" nodrop\n| where parentBaseImage matches \/(?i).*(w3wp\\.exe|httpd\\.exe|nginx\\.exe|php-cgi\\.exe|tomcat\\.exe)$\/\n| where baseImage matches \/(?i).*(cmd\\.exe|powershell\\.exe|bitsadmin\\.exe|pwsh\\.exe|powershell_ise\\.exe)$\/\n| fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<h5 id=\"example-2-sumo-logic-cloud-siem-records\" class=\"wp-block-heading\">Beispiel 2: Sumo Logic Cloud SIEM-Datens\u00e4tze<\/h5>\n\n\n\n<pre class=\"wp-block-code\"><code>_index=sec_record*\n| where parentBaseImage matches \/(?i).*(w3wp\\.exe|httpd\\.exe|nginx\\.exe|php-cgi\\.exe|tomcat\\.exe|\\\/httpd|\\\/nginx|\\\/php-cgi|\\\/tomcat|\\\/apache2|\\\/apache)$\/\n| where baseImage matches \/(?i).*(cmd\\.exe|sh\\.exe|bash\\.exe|powershell\\.exe|bitsadmin\\.exe|pwsh\\.exe|powershell_ise\\.exe|\\\/bash|\\\/sh|\\\/dash|\\\/zsh|\\\/ksh|\\\/csh|\\\/python3?|\\\/perl)$\/\n| fields device_hostname, device_ip, user_username, parentBaseImage, baseImage, commandLine<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n<div class=\"e-img \">\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1439\" height=\"450\" src=\"http:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity.png\" alt=\"\" class=\"wp-image-81410\" title=\"\" srcset=\"https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity.png 1439w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity-300x94.png 300w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity-1024x320.png 1024w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity-767x240.png 767w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img2-Searching-Web-Shell-Activity-572x179.png 572w\" sizes=\"auto, (max-width: 1439px) 100vw, 1439px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><em>Abbildung 2: Auffinden einer Shell, die von nginx gestartet wird<\/em><\/p>\n\n\n\n<div style=\"height:20px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h3 id=\"look-for-web-server-processes-executing-common-web-shell-commands\" class=\"wp-block-heading\">Suchen Sie nach Webserver-Prozessen, die h\u00e4ufige Web-Shell-Befehle ausf\u00fchren<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Der Webserver kann auch Shell-Befehle direkt ausf\u00fchren, anstatt \u00fcber eine vollst\u00e4ndige Betriebssystem-Shell. Die folgende Abfrage identifiziert h\u00e4ufige Discovery-, Credential-Harvesting- und Exfiltrationsbefehle, die als untergeordnete Prozesse des Webserver-Prozesses ausgef\u00fchrt werden.<\/p>\n\n\n\n<h5 id=\"example-1-windows-process-logs\" class=\"wp-block-heading\"><strong>Beispiel 1: Windows-Prozess<\/strong>protokolle<\/h5>\n\n\n\n<pre class=\"wp-block-code\"><code>_sourceCategory =\"windows\/eventlogs\"\n| parse \"&lt;EventID&gt;*&lt;\/EventID&gt;\" as eventId\n| where eventId = \"4688\"\n| parse \"&lt;Data Name='ParentProcessName'&gt;*&lt;\/Data&gt;\" as parentBaseImage nodrop\n| parse \"&lt;Data Name='NewProcessName'&gt;*&lt;\/Data&gt;\" as baseImage nodrop\n| parse \"&lt;Data Name='CommandLine'&gt;*&lt;\/Data&gt;\" as commandLine nodrop\n| parse \"&lt;Data Name='SubjectUserName'&gt;*&lt;\/Data&gt;\" as user_username nodrop\n| parse \"&lt;Data Name='SubjectDomainName'&gt;*&lt;\/Data&gt;\" as user_domain nodrop\n| parse regex \"&lt;Computer&gt;(?&lt;device_hostname&gt;&#091;^&lt;]+)&lt;\/Computer&gt;\" nodrop\n| where parentBaseImage matches \/(?i).*(w3wp\\.exe|httpd\\.exe|nginx\\.exe|php-cgi\\.exe|tomcat\\.exe|apache).*\/\n| where commandLine matches \/(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget ).*\/\n| fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<h5 id=\"example-2-sumo-logic-cloud-siem-records\" class=\"wp-block-heading\">Beispiel 2: Sumo Logic Cloud SIEM-Datens\u00e4tze<\/h5>\n\n\n\n<pre class=\"wp-block-code\"><code>_index=sec_record*\n| where parentBaseImage matches \/(?i).*(w3wp\\.exe|httpd\\.exe|nginx\\.exe|php-cgi\\.exe|tomcat\\.exe|apache|\\\/httpd|\\\/nginx|\\\/php-cgi|\\\/tomcat|\\\/apache2).*\/\n| where commandLine matches \/(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget |id |uname |cat \\\/etc\\\/passwd|nc -).*\/\n| fields device_hostname, device_ip, user_username, parentBaseImage, commandLine<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n<div class=\"e-img \">\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1441\" height=\"433\" src=\"http:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2.png\" alt=\"\" class=\"wp-image-81417\" title=\"\" srcset=\"https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2.png 1441w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2-300x90.png 300w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2-765x230.png 765w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2-1024x308.png 1024w, https:\/\/www.sumologic.com\/wp-content\/uploads\/PHP2Shell-img3-Searching-Web-Shell-Activity-ex2-572x172.png 572w\" sizes=\"auto, (max-width: 1441px) 100vw, 1441px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><em>Abbildung 3: Ein Remote-wget-Befehl als untergeordneter Prozess von Internet Information Server<\/em><\/p>\n\n\n\n<div style=\"height:20px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 id=\"sumo-logic-cloud-siem-detections\" class=\"wp-block-heading\">Sumo Logic Cloud SIEM-Erkennungen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Es gibt mehrere sofort einsatzbereite Sumo Logic Cloud SIEM-Regeln, die Web-Shell-Aktivit\u00e4ten erkennen und dabei helfen, Webserver zu identifizieren, die erfolgreich durch PHP2Shell ausgenutzt wurden. Die Erkennungstheorien der Regeln sind dieselben wie die oben besprochenen Abfragen: ungew\u00f6hnliche untergeordnete Prozesse von Webserver-Prozessen und Spitzen in den Fehlerraten auf Webservern.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die folgenden Erkennungen k\u00f6nnen Ihnen bei der Untersuchung potenzieller Kompromittierungen helfen:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Cloud SIEM-Regel-ID<\/th><th>Regelname<\/th><\/tr><\/thead><tbody><tr><td>MATCH-S00164<\/td><td>Verd\u00e4chtige Shells, die von Webservern erzeugt werden<\/td><\/tr><tr><td>MATCH-S00174<\/td><td>Webdienste, die h\u00e4ufige Web-Shell-Befehle ausf\u00fchren<\/td><\/tr><tr><td>MATCH-S00539<\/td><td>Webserver, die verd\u00e4chtige Prozesse ausf\u00fchren*<\/td><\/tr><tr><td>OUTLIER-S00036 (neu)<\/td><td>Anstieg von HTTP-Serverfehlern von Quell-IP<\/td><\/tr><tr><td>OUTLIER-S00037 (neu)<\/td><td>Anstieg von HTTP-Serverfehlern zu Ziel-IP<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wie bereits erw\u00e4hnt, k\u00f6nnen Sie eine h\u00f6herwertige Erkennung f\u00fcr erfolgreiche PHP2Shell-Exploits erstellen, indem Sie CHAIN-Regeln erstellen. Eine CHAIN-Regel korreliert eine Edge-Device-Beobachtung von PHP2Shell (z. B. eine WAF-Warnung) f\u00fcr eine Entit\u00e4t mit der Web-Shell-Erkennungslogik in der obigen Tabelle.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Beachten Sie, dass diese Regeln die Erstellung und Bef\u00fcllung von <a href=\"https:\/\/www.sumologic.com\/help\/docs\/cse\/match-lists-suppressed-lists\/standard-match-lists\/#standard-match-lists\">Standard-Match-Listen<\/a> erfordern. MATCH-S00539 verwendet die Match-Liste \u201eweb_servers\u201c, um die Erkennung auf die Prozessausf\u00fchrung auf Ihren Webservern zu beschr\u00e4nken.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">OUTLIER-S00036 und OUTLIER-S00037 ben\u00f6tigen die Match-Listen \u201eweb_servers\u201c oder \u201ehttp_servers\u201c, um serverseitige Fehler zu verfolgen. Erfahren Sie, wie Sie <a href=\"https:\/\/help.sumologic.com\/docs\/cse\/match-lists-suppressed-lists\/create-match-list\/\" target=\"_blank\" rel=\"noopener\">eine Match-Liste erstellen und bef\u00fcllen<\/a>.<\/p>\n\n\n\n<h2 id=\"recommendations-to-fix-and-mitigate-php2shell\" class=\"wp-block-heading\">Empfehlungen zur Behebung und Entsch\u00e4rfung von PHP2Shell<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Anleitung der PHP-Gruppe ist klar: Aktualisieren Sie jetzt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u201eWer ist gef\u00e4hrdet: alle PHP-Installationen, die Webanfragen verarbeiten, einschlie\u00dflich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Wir halten das Risiko f\u00fcr mod_php am h\u00f6chsten, mit einem nachgewiesenen Exploit, bei dem eine nicht authentifizierte Anfrage den Angriff ausl\u00f6sen kann, bevor ein Anwendungscode ausgef\u00fchrt wird.\u201c Lesen Sie die vollst\u00e4ndige Empfehlung der PHP-Gruppe <a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noopener\">hier<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-protects-customers-from-php-rce-zero-days\/\" target=\"_blank\" rel=\"noopener\">Die Analyse der Community zeigt, dass eine erfolgreiche Ausnutzung Angreifern die Befehlsausf\u00fchrung im Kontext des Webserver-Benutzers erm\u00f6glicht<\/a>. Von dort aus k\u00f6nnen sie Web-Shells bereitstellen, API- und Datenbankzugangsdaten aus Konfigurationsdateien sammeln und in interne Netzwerke eindringen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine sofortige Aktualisierung wird empfohlen. Wenn Sie noch nicht aktualisieren k\u00f6nnen, verwenden Sie die oben genannten Suchanfragen und Erkennungen, um betroffene Server auf Post-Exploitation-Aktivit\u00e4ten zu \u00fcberwachen, die auf eine erfolgreiche Ausnutzung hindeuten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie noch nicht \u00fcber Cloud SIEM verf\u00fcgen und verstehen m\u00f6chten, wie es Ihnen bei der Erkennung und Reaktion auf Bedrohungen wie diese helfen kann, <a href=\"http:\/\/www.sumologic.com\/de\/request-demo\">buchen Sie eine Demo, um mehr zu erfahren<\/a>.<\/p>\n\n\n\n<h2 id=\"references-and-further-resources\" class=\"wp-block-heading\">Referenzen und weitere Ressourcen<\/h2>\n\n\n\n<h4 id=\"nist-vulnerability-information\" class=\"wp-block-heading\">NIST-Schwachstelleninformationen<\/h4>\n\n\n\n<ol class=\"wp-block-list\">\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-109618\" target=\"_blank\" rel=\"noopener\">https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-109618<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-109619\" target=\"_blank\" rel=\"noopener\">https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-109619<\/a><\/li>\n<\/ol>\n\n\n\n<h4 id=\"php-s-guidance\" class=\"wp-block-heading\">Anleitung von PHP<\/h4>\n\n\n\n<ol start=\"3\" class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-20-1\" target=\"_blank\" rel=\"noopener\">https:\/\/www.php.net\/archive\/2026.php#2026-10-20-1<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noopener\">https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5<\/a><\/li>\n<\/ol>\n\n\n\n<h4 id=\"cybersecurity-community-resources-and-reports\" class=\"wp-block-heading\">Ressourcen und Berichte der Cybersicherheits-Community<\/h4>\n\n\n\n<ol start=\"5\" class=\"wp-block-list\">\n<li><a href=\"https:\/\/calif.io\/php2shell\/\" target=\"_blank\" rel=\"noopener\">https:\/\/calif.io\/php2shell\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.wiz.io\/blog\/php2shell-php-rce\" target=\"_blank\" rel=\"noopener\">https:\/\/www.wiz.io\/blog\/php2shell-php-rce<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\" target=\"_blank\" rel=\"noopener\">https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-protects-customers-from-php-rce-zero-days\/\" target=\"_blank\" rel=\"noopener\">https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-protects-customers-from-php-rce-zero-days\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/thehackernews.com\/2026\/10\/someone-tried-to-exploit-php2shell-4.html\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2026\/10\/someone-tried-to-exploit-php2shell-4.html<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/openai.com\/index\/coordinated-disclosure-of-critical-vulnerabilities\/\" target=\"_blank\" rel=\"noopener\">https:\/\/openai.com\/index\/coordinated-disclosure-of-critical-vulnerabilities\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/\" target=\"_blank\" rel=\"noopener\">https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/blog.checkpoint.com\/security\/php2shell-what-we-know-about-the-leaked-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"noopener\">https:\/\/blog.checkpoint.com\/security\/php2shell-what-we-know-about-the-leaked-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/blog.cloudflare.com\/php-vulnerabilities-waf-protection\" target=\"_blank\" rel=\"noopener\">https:\/\/blog.cloudflare.com\/php-vulnerabilities-waf-protection<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/research.jfrog.com\/post\/php2shell-all-you-need-to-know-about-cve-2026-109618-and-cve-2026-109619\/\" target=\"_blank\" rel=\"noopener\">https:\/\/research.jfrog.com\/post\/php2shell-all-you-need-to-know-about-cve-2026-109618-and-cve-2026-109619\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.reuters.com\/technology\/what-is-php-why-did-it-take-government-websites-offline-2026-10-21\/\" target=\"_blank\" rel=\"noopener\">https:\/\/www.reuters.com\/technology\/what-is-php-why-did-it-take-government-websites-offline-2026-10-21\/<\/a><\/li>\n<\/ol>\n<\/div>\n<\/div>\n<\/div>\n<\/div><\/section>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":345,"featured_media":81427,"template":"","meta":{"_acf_changed":false,"show_custom_date":false,"custom_date":"","featured":false,"featured_image":0,"learn_more_label":"","image_alt_text":"","learn_more_type":"","show_popup":false,"learn_more_link_file":0,"event_date":false,"event_start_date":"","event_end_date":"","place_holder_image_url":"","post_reading_time":"7","notification_enabled":false,"notification_text":"","notification_logo":"","notification_expiration_time":0,"is_enable_transparent_header":false,"selected_taxonomy_terms":{"blog-category":[255,257],"blog-tag":[],"translation_priority":[221]},"selected_primary_terms":[],"learn_more_link":[],"featured_page_list":[],"notification_enabled_post_list":[],"_gspb_post_css":"","_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"80874,80883,74957","_relevanssi_noindex_reason":"","inline_featured_image":false,"footnotes":""},"blog-category":[255,257],"blog-tag":[],"class_list":["post-81977","blog","type-blog","status-publish","has-post-thumbnail","hentry","blog-category-cloud-siem","blog-category-secops-security"],"acf":[],"permalink_manager":null,"_links":{"self":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/81977","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog"}],"about":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/types\/blog"}],"author":[{"embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/users\/345"}],"version-history":[{"count":2,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/81977\/revisions"}],"predecessor-version":[{"id":81979,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/81977\/revisions\/81979"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/media\/81427"}],"wp:attachment":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/media?parent=81977"}],"wp:term":[{"taxonomy":"blog-category","embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog-category?post=81977"},{"taxonomy":"blog-tag","embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog-tag?post=81977"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}